SASE（Secure Access Service Edge）は、拠点などをつなぐネットワーク機能と、クラウドで提供するセキュリティ機能を統合するアーキテクチャです。利用者・端末・アプリケーションへの接続を、一貫した方針で扱う考え方と捉えると理解しやすくなります。CiscoのSASE解説
導入を検討するときは、どの通信を統合し、何を既存環境に残し、誰が運用するかを先に決めましょう。製品名から比較を始めるより、自社で解決したい接続・管理の課題に照らして範囲を絞れます。
SASEを構成する機能と、SSE・ZTNAとの違い
代表的な構成要素は次のとおりです。機能の役割は公式資料に基づく整理であり、個別製品の契約にすべて含まれることを示すものではありません。
| 機能 | 主な役割 |
|---|---|
| SD-WAN | 拠点・クラウドなどの接続で通信経路を制御する |
| SWG | Web通信を検査し、不正なサイトなどへのアクセスを制御する |
| CASB | クラウドサービスの利用を把握し、データ保護などの方針を適用する |
| FWaaS | ファイアウォールの保護機能をクラウドから提供する |
| ZTNA | 利用者や端末などの条件を評価し、特定のアプリへのアクセスを制御する |
各機能の概要は、MicrosoftのSASE構成要素の解説でも確認できます。
SSE（Security Service Edge）は、SASEのうちセキュリティサービスを担う部分です。SASEはそこにSD-WANのネットワーク機能も含みます。ZTNAはアプリへのアクセス制御、SD-WANはネットワーク側の機能なので、いずれも単独ではSASE全体と同じ範囲を指しません。CiscoのSASEとSSEの比較
この違いから、評価の出発点を次のように分けられます。
- 拠点の接続方式とセキュリティ管理を一緒に見直す：SASE全体を評価する。
- 拠点ネットワークは維持し、Web・クラウド利用の保護をまとめたい：SSEを中心に検討する。
- 特定の社内アプリへのアクセス権限を絞りたい：ZTNAの適用範囲を先に確認する。
以下の確認表と手順は、企業の評価作業に向けた本記事の提案です。製品仕様や規格上の必須要件とは区別して使ってください。
まず通信ごとに「統合する範囲」を記入する
棚卸しの単位は、部署名や機器名だけでなく「誰が、どこから、何に接続するか」にします。同じ社員でも、在宅からのSaaS利用と、拠点からの社内業務システム利用は分けて記録すると、必要な保護と残す経路を検討しやすくなります。
下表を接続パターンごとに複製し、未確認の欄は空欄にせず担当者と確認期限を記入してください。
| 確認項目 | 自社の記入欄 | 採否を決めるための問い |
|---|---|---|
| 利用者・接続元 | ［部署、社員／委託先、拠点／在宅］ | 管理対象外の端末も使うか |
| 接続先 | ［SaaS名、社内アプリ名、用途］ | Web以外の通信や外部との連携があるか |
| 現在の経路 | ［回線、VPN、プロキシ、認証元］ | 移行後に廃止するものと残すものは何か |
| 統合する機能 | ［SWG、ZTNAなどと適用対象］ | 対象の通信を候補製品で処理できるか |
| 対象外の通信 | ［対象、理由、保護方法、見直し期限］ | 例外のまま放置しない管理者は誰か |
| 業務の合格条件 | ［主要操作、応答時間、許容停止時間］ | 利用部門が受け入れられる条件を定めたか |
| 証拠と判断者 | ［試験記録、仕様回答、承認者］ | 未確認を解消してから移行を承認できるか |
「全拠点を対象」と記入するだけでは、例外通信を判断できません。たとえば端末に接続用ソフトウェアを導入できるか、送信元IPアドレスの固定が接続先の要件になっていないか、アプリに必要な通信方式を扱えるかを確認項目に加えます。
統合管理の評価では、運用責任も確かめる
SASEには単一プラットフォームだけでなく、2社を組み合わせる構成もあります。MicrosoftのSASE概要
候補を比べる際は、管理画面の数に加え、問い合わせから復旧までの担当を確認してください。構成に応じて、次の役割を社内と委託先に割り当てます。
| 運用場面 | 先に決める内容 |
|---|---|
| 利用開始・異動・退職 | アカウントと端末の登録、権限変更・停止の実施者と承認者 |
| アクセスの例外申請 | 業務上の必要性の判断者、例外の期限、解除を確認する人 |
| 通信障害 | 回線・認証・セキュリティ設定・アプリを調べる順番と窓口 |
| ログの調査 | 閲覧権限、保存期間、処理・保存地域、外部への出力方法 |
| 契約終了・構成変更 | 設定とログの取り出し、代替経路への切り替え、データ削除の確認 |
見積もりでは、利用者数・拠点数・機能別の料金に加え、既存契約との重複期間、移行作業、運用支援、ログ保存の費用を同じ条件で比較します。費用削減を採用理由にする場合は、自社の現行費用との差額を確認してから判断しましょう。
小さく試し、継続・修正・見送りを決める
試験導入では、対象を限定したうえで業務上必要な接続パターンを含めます。操作が成功することに加え、許可しない通信を止められるか、障害時に戻せるかまで確認します。
- 現状を測る。対象業務のログイン、ファイル送受信、通話などについて、操作結果と応答時間を記録します。
- 認証・通信の条件を試す。正規利用者の成功だけでなく、権限外のアプリへの接続、停止済みアカウント、端末の条件違反を評価します。
- 業務への影響を調べる。暗号化通信の検査を行う構成では、対象アプリの動作と証明書の配布手順を確認します。検査除外が必要なら、理由と代替の保護方法を残します。
- 障害時の手順を確認する。業務に影響しない試験環境や時間帯で、回線断や認証基盤の停止を想定し、連絡・復旧・切り戻しの手順を評価します。
- 記入表に結果を戻す。合格条件を満たした対象から移行します。満たせない対象は原因、修正案、再試験の期限を決め、当面残す経路を明記します。
全面統合を選ぶのは、対象の通信、運用責任、業務の合格条件を確認できた場合です。一部だけ条件を満たすなら部分導入にとどめ、必須業務や復旧の条件を満たせないなら見送りも判断に含めます。移行後の安定と必要なログを確認するまでは、既存経路の廃止を別の判断として扱うと整理できます。
SASEとゼロトラストを同一視しない
NISTはゼロトラストについて、ネットワーク上の場所や資産の所有だけを理由に暗黙の信頼を与えず、企業リソースへのセッションを確立する前に認証と認可を行う考え方を示しています。NIST SP 800-207の概要
この考え方に照らせば、SASEの採用だけで評価を終えず、「必要な人が必要なアプリだけを使えるか」「退職や端末の状態変化を反映できるか」を自社の確認項目にする必要があります。
導入判断の成果物は、製品比較表に加え、通信の棚卸し、責任分担、試験結果、残す経路の一覧までそろえましょう。外部に相談するときも、この情報があれば自社で決める事項と支援を求める事項を伝えやすくなります。当社の窓口を検討する場合は、インフラ支援の案内をご覧ください。